ここでは、ONTAPに導入されたOAuth 2.0の主な機能とメリットについて解説します。

OAuth 2.0は、業界標準の許可フレームワークです。保護されたリソースへのアクセスを制限したり、制御したりするために使用するもので、署名付きアクセス トークンを使用します。OAuth 2.0を使用するメリットには、次のようなものがあります。

ONTAP OAuth 2.0の実装は、次のようにONTAPリリースに基づいたいくつかの一般的なサーバまたはサービスでテストされています。

各ONTAPリリースで利用できる機能の詳細については、"許可サーバとアクセス トークン"を参照してください。

1つのONTAPクラスタに対して、最大8台の許可サーバを定義できます。これにより、多様なセキュリティ環境のニーズを柔軟に満たせます。

ONTAPでの許可の判定は、最終的にはユーザまたはグループに割り当てられたRESTロールに基づいて行われます。これらのロールは、自己完結型スコープとしてアクセス トークン内で伝送されるか、Active DirectoryグループまたはLDAPグループに沿ったローカルONTAP定義に基づきます。

ONTAPと許可サーバを、Mutual Transport Layer Security（mTLS）を使用するように設定して、クライアント認証を強化できます。これにより、OAuth 2.0アクセス トークンを使用できるのが、その発行を受けたクライアントに限定されます。この機能は、FAPIやMITREによって規定されるものを含む、いくつかの一般的なセキュリティ推奨事項に沿ったものであり、それらへの準拠をサポートします。

OAuth 2.0の導入と設定に着手する際に考慮するべき点は、大きく分けていくつかあります。

OAuth 2.0の許可フレームワークでは各種のエンティティが定義されています。いずれも、データセンターまたはネットワーク内の実在する要素または仮想的な要素に対応させることができます。次の表は、OAuth 2.0のエンティティと、ONTAPでそれぞれに対応する概念をまとめたものです。

OAuth 2.0を有効にして使用するように、ONTAPクラスタを設定する必要があります。これには、許可サーバへの接続を確立することや、必要なONTAP許可設定を定義することが含まれます。この設定には、次のいずれかの管理インターフェイスを使用できます。

ONTAPの定義に加えて、許可サーバの設定も必要です。グループとロールのマッピングを使用している場合は、Active DirectoryグループかLDAPに相当するものの設定も必要です。

ONTAP 9.14以降、REST APIクライアントはOAuth 2.0を使用してONTAPにアクセスできます。REST API呼び出しを発行する前に、認可サーバからアクセストークンを取得する必要があります。クライアントは、HTTP認可リクエストヘッダーを使用して、このトークンを_ベアラートークン_としてONTAPクラスタに渡します。必要なセキュリティレベルに応じて、クライアント側で証明書を作成してインストールし、mTLSに基づく送信者制約トークンを使用することもできます。

ONTAP で OAuth 2.0 の導入を検討し始める際には、いくつかの用語を理解しておくと役立ちます。OAuth 2.0 に関する詳細情報へのリンクについては、"その他のリソース"をご覧ください。

参考資料をいくつか紹介します。OAuth 2.0や関連する規格の詳細については、これらのサイトを参照してください。